/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */
#content_views .toc,
/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */
#content_views.markdown_views > p:empty:has(+ .toc),
#content_views.markdown_views > .toc + p:empty,
/* 富文本旧版目录标记 */
#content_views.htmledit_views #main-toc,
#content_views.htmledit_views #hr-toc,
#content_views.htmledit_views p[id*=\”-toc\”] {
display: none !important;
}
/* 目录去掉后，紧跟的首个标题不再多出一块上边距 */
#content_views.markdown_views > .toc + h1,
#content_views.markdown_views > .toc + h2,
#content_views.markdown_views > .toc + h3,
#content_views.markdown_views > .toc + h4,
#content_views.markdown_views > .toc + p:empty + h1,
#content_views.markdown_views > .toc + p:empty + h2,
#content_views.markdown_views > .toc + p:empty + h3,
#content_views.markdown_views > .toc + p:empty + h4 {
margin-top: 0 !important;
}
引用与免责声明：
引用来源：抖音博主【网络安全月神】公开短视频观点。
本文仅为行业技术现象分析，不构成任何渗透测试指导。所有安全测试活动，必须在厂商授权范围内开展，严禁未授权对互联网业务进行任何测试行为。
【全网主流漏洞提交平台汇总！新手白帽入门首选指南 – CSDN App】
【网络安全法 – CSDN App】
前言
随着大模型快速普及，AI辅助漏洞挖掘在白帽圈子里迅速走红。AI本应作为白帽的效率工具，辅助撰写漏洞报告、梳理测试思路、复盘业务逻辑，降低文档整理的重复工作量。
但当下圈子里涌现出大量被称为AI小子的群体：零基础，不理解漏洞底层原理，拿到接口就丢给大模型，不复现、不验证、不判断漏洞真伪，批量向各大SRC提交漏洞报告。抖音业务逻辑漏洞方向博主网络安全月神将这种行为定性为：对SRC审核团队发起的应用层DDoS攻击。本文结合行业现状，引用月神公开观点，聊聊AI小子如何冲击SRC生态，以及白帽该如何正确使用AI。
一、什么是AI小子
圈内所说的AI小子，一般具备这些特征：
1. 没有Web安全、业务逻辑漏洞基础，分不清越权、信息泄露等漏洞的真实危害；
2. 依赖AI完成接口分析、漏洞判定、报告生成全流程；
3. AI输出内容不做人工核验，直接批量投递SRC；
4. 经常把普通接口查询、昵称/头像读取这类正常功能判定为高危漏洞；
5. 依靠大量提交报告碰运气，试图靠数量拿到漏洞赏金。
简单概括：完全依靠AI、放弃独立思考，批量提交漏洞报告的入门群体。
二、月神核心观点
月神反复强调：他并不反对白帽使用AI，反对的是无脑依赖AI批量刷洞的AI小子模式。
“AI小子，就像拿着枪的大猩猩。手里有最强的工具，但完全不懂原理、不懂后果，只会乱操作。”
“AI是能力放大器。能力为0的人，乘以AI，结果依旧是0。蠢的不是AI，是人，AI只会放大你的无知。”
“现在大量AI无脑提交垃圾报告，本质就是在DDoS SRC审核团队，正规白帽的生态全被搞烂了。”
“很多新人毫无行业敬畏心，AI说啥就信啥，甚至误删平台数万敏感数据都不知道自己干了什么。”
“每周SRC收到上千份漏洞报告，90%以上都是AI产出的无效垃圾漏洞。”
——引用来源：抖音博主【网络安全月神】公开视频内容
有基础的白帽可以拿AI当辅助；零基础直接全权交给AI，不加验证就提交，会带来生态灾难与法律风险。
三、为什么说AI小子在DDoS SRC生态
1. 海量无效报告消耗审核人力
头部厂商SRC每周接收的漏洞报告数量大幅上涨。其中大量报告属于AI误判：公开头像查询、账号是否注册检测、普通用户ID展示，这些不属于安全漏洞的内容，被AI包装成高危信息泄露。
SRC审核人员必须逐条打开、核验、驳回、归档。海量无效报告占用审核人力，和应用层DDoS的效果类似：用大量无用请求耗尽服务端（审核团队）资源。
2. 优质漏洞容易被淹没，正规白帽受损
当垃圾报告占比极高时，审核人员精力被大量消耗，容易产生审核疲劳。真实的业务逻辑漏洞、越权漏洞等高危漏洞，有可能被淹没、延迟处理甚至误判驳回。
不少厂商SRC已经开始收紧提交规则：限制单人提交数量、提高漏洞准入门槛、降低部分漏洞评级，甚至短期限制提交。最后为AI小子无序行为买单的，是认真研究漏洞、遵守规则的正规白帽子。
3. 极高的合规与法律风险
月神视频中举过真实案例：新人跟着AI给出的payload盲目测试，误删平台24万条敏感数据，自己完全无法预判操作带来的后果。
AI小子常见风险：
– 在未授权的环境下批量测试线上接口；
– 盲目执行AI给出的删除、遍历、篡改请求；
– 夸大漏洞危害，伪造漏洞现象；
– 高频无效提交，导致个人账号、IP被厂商SRC永久拉黑。
重要提醒：网络测试必须在厂商授权的SRC范围内开展，未经授权对线上业务进行渗透测试属于违法行为。
四、月神认可：AI挖洞的正确使用方式
月神认为，AI是优秀辅助工具，但前提是人掌握主导权。
✅ AI适合做：
1. 优化漏洞报告文字排版，整理修复建议；
2. 梳理业务流程，辅助梳理测试思路；
3. 翻译技术文档，总结漏洞成因。
❌ AI不能做：
1. 全自动批量扫描接口并提交报告；
2. 自动判定漏洞是否存在、评定危害等级；
3. 自动执行高危测试Payload。
核心准则：所有AI输出的漏洞结论，必须人工复现、验证有效性，确认危害后，才可以提交SRC。不复现，不提交。
五、行业思考
不可否认AI确实是优秀的辅助工具，包括本文作者，在撰写文章、梳理内容时也会使用AI协助。AI降低了安全知识获取门槛，让更多人可以接触漏洞挖掘，但同时拉低了行业下限。
网上“AI自动挖洞，躺着拿赏金”基本都是营销噱头。没有安全基础，单纯依靠大模型批量提交报告，大概率只能产出无效报告，严重时触犯法律。
长期来看，SRC规则会持续收紧。无脑批量刷报告的AI小子会被逐步淘汰；具备原理理解能力、严谨合规、可以独立验证漏洞的白帽价值会进一步提升。
结语
AI本身没有对错，无知和懒惰才是破坏生态的根源。正如月神所说：工具没有对错，使用工具的人，决定了生态的好坏。
SRC生态需要严谨、合规、具备独立思考能力的安全研究者，不需要依靠AI批量投递垃圾报告、消耗审核资源的“AI小子”
作者的劝告：
想依靠AI走捷径、批量投递报告博取赏金的AI小子，请放下“躺平挖洞”的幻想。漏洞挖掘不是简单丢接口给AI、一键生成报告的流水线工作，它需要扎实的安全基础、严谨的验证思维，以及对网络安全法律法规的敬畏之心。盲目提交大量无效报告，不仅会加重审核团队负担、破坏SRC生态，还会导致个人账号被拉黑；一旦执行AI给出的高危Payload造成线上业务受损，还会承担相应法律责任。如果真心想踏入白帽行业，请沉下心学习基础原理，学会独立判断漏洞真伪，把AI当作辅助工具，而不是代替思考的捷径。守住合规底线，尊重SRC审核人员的劳动成果，才是长久学习网络安全的正道。
在此，向坚守岗位的SRC漏洞审核人员，以及所有默默为网络安全事业奉献的白帽研究者致以感谢。
给网安新人一句建议：先夯实安全基础，再用AI提升效率。不要放弃思考，更不要破坏整个白帽生态。
